ユーザーが入力した文字列をエスケープする の変更点

• 追加された行はこの色です。
• 削除された行はこの色です。
• ユーザーが入力した文字列をエスケープする へ行く。
• ユーザーが入力した文字列をエスケープする の差分を削除

NOAD
[[PHPめも]]

データベースに登録する文字列が、ユーザーが入力するような予測できない場合はエスケープしておく必要があります。

PHP5.4.4以上~
前後に「'」が付けなくて良いのがスマート

 $sql = 'INSERT INTO table (column) VALUES('.pg_escape_literal($string).')';
 $sql = "INSERT INTO table (column) VALUES(".pg_escape_literal($string).")";

PHP4.2.0以上~
前後に「'」を付ける必要がある。

 $sql = 'INSERT INTO table (column) VALUES('."'".pg_escape_string($string)."')";
 $sql = "INSERT INTO table (column) VALUES('".pg_escape_string($string)."')";

pg_escape_stringよりもpg_escape_literalの方が推奨されています。